バーチャルカードで予約やデジタルサービスの支払いを済ませた後、加盟店から次のようなメールが届くことがあります。
「お支払いに使用したカードの写真を提出してください。」
ここには明らかな問題があります。写真を撮影できる物理カードが存在しないのです。
だからといって、バーチャルカードの画面全体をそのまま送るのも適切ではありません。通常のサポートメールやチャットに表示すべきではないカード情報まで公開してしまう可能性があります。
より重要なのは、次の点を確認することです。
「加盟店は実際に何を確認する必要があるのか。そして、それを証明できる最も機密性の低い情報は何か？」
バーチャルカードの本人確認や所有確認では、通常、支払い、注文、そしてカードを使用した個人または企業との関係を確認します。目的は、不要な認証情報を公開することなく、正当な購入であることを加盟店に確認してもらうことです。
加盟店がカード所有の証明を求める理由
「カード所有の証明」を求める理由は、いくつか考えられます。
加盟店が確認したいのは、たとえば次のような点です。
- 決済時に使用されたカードが注文内容と一致していること
- 支払者が企業アカウントと関連付けられていること
- ホテルの宿泊者が会社負担の予約を利用する権限を持っていること
- 盗まれた決済情報を使って注文されたものではないこと
これらはそれぞれ異なる確認事項であり、必要な証拠も異なる場合があります。
何かを送る前に、加盟店が具体的に何を確認したいのかを確認してください。
たとえば、次のように伝えることができます。
会社のバーチャルカードで支払ったため、写真を撮影できる物理カードはありません。注文との照合に必要な情報を教えていただけますか。また、取引記録を一部マスキングしたもの、または会社の利用承認書を代わりに提出できますか？
また、加盟店の公式または安全な提出方法についても確認してください。
注文の詳細が正しいからといって、そのメールが本物だと判断してはいけません。書類を送る前に、加盟店の公式Webサイト、アカウントポータル、または既知の公式サポート窓口を通じて依頼内容を確認してください。
バーチャルカードを使用している場合の対応
加盟店が「カード」の提示を求める場合は、バーチャルカードで支払ったため、物理的なカードの表面や裏面が存在しないことを説明してください。
そのうえで、次のような情報を受け付けられるか確認します。
- カード番号の一部をマスキングしたバーチャルカード画面
- 一部の情報をマスキングした取引記録
- 注文の領収書
- 会社の利用承認書
マスキングされたカード画面が認められる場合でも、加盟店が実際に必要としている項目だけを表示してください。
単なるメール依頼に応じるためだけに、カード情報をすべて表示するモードへ切り替えないでください。
また、バーチャルカードを物理カードのように見せるために画像を作成・編集することは絶対に避けてください。提出する証拠は、実際に使用された決済手段を正確に示すものである必要があります。
証拠を段階的に提示する
最初から手元にあるすべての書類を送る必要はありません。
まず、加盟店の注文にすでに関連付けられている、最も機密性の低い情報から提示します。
基本的には次のような順序が考えられます。
1. 注文情報
注文ID、アカウントのメールアドレス、支払日、金額、通貨。
2. マスキングされたカード情報
加盟店の確認に必要で、表示可能な場合はカード番号の下4桁。
3. マスキングされた取引記録
加盟店名、日付、金額、通貨、マスキングされたカード識別情報を示すカード利用履歴。
4. 会社の利用承認
必要に応じて、購入または予約を利用する権限を誰に与えたのかを確認する簡単な会社の書面。
次の段階へ進むのは、加盟店が前の証拠では不十分な理由を説明した場合だけにしてください。
重要なのは、できるだけ多くの証拠を提出することではありません。
確認対象を証明するために、必要最小限の書類を提出することです。
通常、安全に共有できる情報
加盟店からの依頼内容によっては、次のような情報が役立ちます。
- 加盟店または注文番号
- 取引日
- 金額
- 通貨
- 表示されている場合の会社名またはカード名義人名
- カード番号の下4桁
- アカウントのメールアドレス
- 予約番号
決済経路によっては、表示されるマスキング済みのカード番号が異なる場合があります。加盟店側で別の番号が表示されている場合でも、スクリーンショットを編集して一致させようとしないでください。
加盟店側にどの番号が表示されているのかを確認し、その違いについては、加盟店と決済プロバイダーがそれぞれの記録を使って調査できるようにしてください。
絶対に送ってはいけない情報
通常の支払い証明の依頼に対して、次の情報を提出する必要はありません。
送ってはいけないもの：
- カード番号全桁
- CVVまたはCVC
- ワンタイム認証コード
- カード管理画面のパスワード
- リカバリーコード
- 関係のないカード情報
- ログイン認証情報
加盟店がカードに再度請求する必要があると言った場合、それは過去の取引を証明するものではなく、新しい支払い依頼です。
新しい支払いは、加盟店が承認している安全な決済ページを通じて行う必要があります。
注文が緊急の場合でも、この原則は変わりません。
例：会社のバーチャルカードで支払ったホテル予約
ある企業が、出張する従業員のために会社のバーチャルカードを使ってホテルの部屋を予約するとします。
ホテルから次のように求められました。
「カードと写真付き身分証明書を提示してください。」
書類を送る前に、会社はホテルが実際に何を確認したいのかを明確にする必要があります。
ホテルが確認したいのは、次のどれでしょうか。
- 前払い済みの宿泊料金が支払われていること
- 宿泊者が会社の予約を利用する権限を持っていること
- 追加料金のために別の支払い方法が用意されていること
これらは3つの異なる問題です。
ホテルが前払い予約について、宿泊者に利用権限があることだけを確認したいのであれば、会社は次の情報を提出できる可能性があります。
- 予約番号
- 予約確認書
- 必要に応じてマスキングされたカード番号
- 宿泊者名と宿泊日を記載した会社の利用承認書
チェックイン時の追加料金に別のカードが必要な場合は、それを別の支払い方法として処理する必要があります。
例：デジタルサービスが手動審査の対象になった場合
ソフトウェアプロバイダーは、支払い後にサービスへのアクセスを一時停止し、カードがアカウント所有者のものであることを証明するよう求める場合があります。
この場合、購入者はまずプロバイダーの公式ポータルを通じて依頼内容を確認できます。
そのうえで、次のような情報を提出できます。
- 注文ID
- 法人アカウントのメールアドレス
- 一部をマスキングした取引記録
- 支払日と金額
- マスキングされたカード番号
カードが会社名義で、ソフトウェアアカウントが従業員名義になっている場合は、さらにカード情報を公開するのではなく、その関係を説明してください。
完全なカード画面よりも、会社の利用承認書のほうが有効な場合があります。
それでも加盟店がサービスの提供を拒否する場合は、次の点を説明してもらいましょう。
- どの要件がまだ満たされていないのか
- どのような代替証拠を受け付けるのか
- 注文を履行できない場合、キャンセルや返金はどのように行われるのか
安全な証明ファイルの作り方
証明ファイルは、必要な情報だけに絞り、内容が明確に分かる名前を付けるべきです。
たとえば：
注文AB-1234のマスキング済み取引記録
取引を照合するために必要な情報だけを含めてください。
送信前に、次の情報を削除します。
- 関係のない取引
- 他の加盟店名
- 不要な残高情報
- 関係のない個人情報
- 使用していないカード情報
PDFをマスキングする場合は、単に編集可能な黒いボックスで隠すだけではなく、隠した情報そのものが実際に削除されていることを確認してください。
最終ファイルを再度開き、マスキングされた情報が復元できないことを確認してから送信します。
また、どのバージョンを、誰に、どの注文について送ったのかを記録しておくとよいでしょう。
所有権と利用権限は同じではない
加盟店が「カード所有権」の証明を求めていても、実際に確認したいのはカードを使用する権限である場合があります。
たとえば：
- 会社が支払い方法を所有している
- 従業員が注文する権限を持っている
- 別の従業員がサービスを受ける
というケースがあります。
取引記録は、支払いが行われたことを証明できます。
しかし、それだけでホテルの宿泊者が追加料金を負担する権限を持っていることや、従業員が新たな契約上の義務を受け入れる権限を持っていることまで証明できるとは限りません。
加盟店が実際にどのような関係を確認する必要があるのかを確認してください。
安全でない依頼への対応方法
次のような情報を求められた場合は、いったん停止して依頼内容を確認してください。
- メールでのCVV提出
- チャットでのOTP提出
- パスワード
- アカウントへのリモートアクセス
- カード情報を完全に表示した画面
既知の公式加盟店チャネルを利用して、依頼内容を独立して確認してください。
すでに機密性の高いカード情報を公開してしまった可能性がある場合は、カードプロバイダーのセキュリティガイダンスに従い、最近のカード利用履歴を確認してください。
パスポートや公的身分証明書を求められた場合も慎重に対応する必要があります。
旅行や規制対象サービスなどでは正当な理由がある場合もありますが、単純なカード所有確認だけで、完全な本人確認書類が必要になるとは限りません。
なぜ必要なのか、どのように取り扱われるのか、より機密性の低い証拠で同じ確認要件を満たせるかを確認してください。
支払いと本人確認を分けて考える
支払い証明の依頼と新しい支払い依頼では、異なるチャネルを使用するべきです。
利用するのは：
- 新しい支払い → 加盟店の安全な決済ページ
- 既存の支払いに関する証拠 → 確認済みのサポート窓口または書類提出ポータル
メールの添付ファイルは、安全な決済ページの代わりにはなりません。
同様に、過去の支払いを証明する依頼を、新たなカード認証情報を収集する口実にしてはいけません。
Buveiで確認できる情報
Buveiがカードプロバイダーである場合、アカウントで確認できるマスキング済みのカード情報や取引情報を利用して、対象の購入を特定できます。
アカウントやケースによっては、次のようなカード側の情報を確認する際に役立ちます。
- 取引金額
- 通貨
- 時刻
- 加盟店
- 取引ステータス
- マスキングされたカード識別情報
ただし、どの証拠を受け付けるかは、最終的に加盟店が独自の確認プロセスに基づいて決定します。
Buveiは、利用可能なアカウント記録に基づいてカード側の情報を確認するサポートを提供できます。一方、注文の確認やサービス提供の可否については加盟店側が管理します。
加盟店が提出した証拠を受け付けない場合
加盟店が提出可能な証拠を受け付けない場合は、具体的な理由を確認してください。
たとえば：
- バーチャルカードに対応していない
- 名前が一致しない
- 取引証拠が不十分
- 社内ポリシーにより物理カードが必要
そのうえで、次のような代替手段があるか確認します。
- 別の証明方法
- 別の支払い方法
- 法人向けの直接予約
- キャンセルおよび返金
加盟店が何を受け付けるのかを確認しないまま、より機密性の高い書類を次々に送っても、根本的な問題が解決するとは限りません。
何かを送る前の簡単なチェックリスト
加盟店からの本人確認依頼に対応する前に、次の点を確認してください。
- 加盟店の公式チャネルを通じて依頼内容を確認する。
- 加盟店が何を確認しようとしているのかを特定する。
- それを証明できる最小限の書類を選ぶ。
- 関係のない情報や機密情報を削除する。
- 最終的なマスキング済みファイルを慎重に確認する。
- 合意した安全なチャネルを通じて送信する。
- ケースIDを記録し、いつ判断が出る予定なのか確認する。
加盟店から追加情報を求められた場合は、さらに情報を共有する前に、最初の証拠ではなぜ不十分だったのかを確認してください。
まとめ
加盟店がバーチャルカードによる支払いの証明を求めること自体は、必ずしも不自然ではありません。
しかし、バーチャルカードには写真を撮影できる物理カードがなく、支払い証明のために実際に使用可能なカード認証情報まで公開する必要はありません。
最も安全な対応は、次の流れです。
依頼内容を確認する →何を証明する必要があるのかを理解する → 必要最小限の証拠を提出する → 機密性の高いカード情報を保護する。
目的は、すべての本人確認依頼を拒否することでも、加盟店が求めるものをすべて共有することでもありません。
正当な注文を円滑に進めながら、自分の支払い情報を適切に管理することが重要です。
